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(57) Abstract: The invention relates to a 
method for protecting at least one motor 
vehicle component against manipulations 
in a control device, comprising at least 
one micro -computer (|lC) and at least one 
memory element (2, 3). The invention 
is characterised in that a necessary code 
for operating said control device (1) is 
subdivided into at least one master-code 
(MC) comprising essential information 
for the operation of the control device 
(1), and at least one sub-code (SC) which 
comprises additional information for the 
operation of the control device (1). At 
least one master-code (MC) is stored in the 
microcomputer (|iC) and the master-code 
(MC) monitors the manipulation of the 
subcode (SC). The invention also relates 
to a control device for a motor vehicle 
component, comprising at least one 
micro-computer (u:C) and at least one 
memory component (2, 3). The necessary 
code for the actuation of the control 
device (1) is subdivided into at least 
one master-code (MC) which comprises 
essential information for operating said 
control device (I), and at least one sub-code 
(SC) which contains additional information 
for operating said control device (1). At least the master-code (MC) is stored in the micro-computer (|lC) and the master-code (MC) 
contains a software functional component for detection manipulation within the sub-code (SC). 

[Fortsetzung auf der nachsten Seite J 
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(57) Zusairunenfassung: Die Erfindung betrifft ein Verfahren zur Schutz gegen Manipulationen in einem Steuergerat fur mindes- 
tens eine Kfz-Komponente, das zumindest einen Microrechner (jiC) und zumindest einen Speicherbaustein (2, 3) umfasst, dadurch 
gekennzeichnet, dass der fur den Betrieb des Steuergerats (1) notwendige Code in mindestens einen Master-Code (MC), der fur die 
Funktion des Steuergerats (1) essentielle Informationen umfasst, und mindestens einen Sub-Code (SC), der weitere Informationen 
fiir den Betrieb des Steuergerats (I) umfasst, unterteilt wird, wobei zumindest der Mastercode (1) in dem Microrechner (\xC) abge- 
legt wird und der Mastercode (MC) die Manipulation des Subcodes (SC) uberwacht. Weiterhin bezieht sich die Erfindung auf ein 
Steuergerat fiir eine Kfz-Komponente das zumindest einen Microrechner (\xC ) und zumindest einen Speicherbaustein (2, 3) umfasst, 
wobei der fiir den Betrieb des Steuergerats (1) notwendige Code in zumindest einen Master-Code (MC), der fur die Funktion des 
Steuergerats ( 1 ) essentielle Informationen umfasst, und zumindest einen Sub-Code (SC), der weitere Informationen fiir den Betrieb 
des Steuergerats (1) umfasst, unterteilt ist, und zumindest der Master-Code (MC) in dem Microrechner (u^C) abgelegt ist und der 
Master-Code (MC) ein Softwarefunktionsmodul zur Manipulalionsdetektion innerhaJb des Sub-Codes (SC) enthalt. 
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Verfahren zum Schutz gegen Manipulationen in einem Steuergerat fur 
eine Kfz-Komponente und Steuergerat 

Beschreibung 

Die vorliegende Erfindung betrifft ein Verfahren zum Schutz vor Manipulatio- 
nen an einem Steuergerat fur mindestens eine Kfz-Komponente sowie ein 
Steuergerat. 

In Kraftfahrzeugen werden heutzutage zur Steuerung einzelner Kfz- 
Komponenten Steuergerate verwendet, wie beispielsweise das Motorsteuer- 
gerat oder das Getriebesteuergerat. Die zum Betrieb von solchen Steuerge- 
raten erforderlichen Informationen, wie beispielsweise Programme und Da- 
ten werden verschlusselt oder unverschlusselt in Speicherbausteinen 
(E 2 PROM, Flash und dergleichen) abgelegt. Das Verschlusselungsverfahren 
ist dabei unabhangig von einer festen Hardware-Kombination von Baustei- 
nen und in der Regel in einem wiederbeschreibbaren Speichermedium ab- 
gelegt. 

Der Nachteil solcher Steuergerate und der verwendeten Programme ist, dass 
einzelne Speicherbausteine ausgetauscht werden konnen, bzw. die Daten 
auf den Speicherbausteinen uber eine Diagnosescfinittstelle oder uber di- 
rekten Zugriff auf den Speicherbaustein uberschrieben werden konnen. Der 
Austausch eines Speicherbausteins oder das Oberschreiben der auf diesem 
Speicherbaustein gespeicherten Daten und Programme kann, dazu fuhren, 
dass die Kfz-Komponente mit anderen Kenndaten arbeitet. Dies wird bei- 
spielsweise bei dem sogenannten Chip-Tuning durchgefuhrt, bei dem Spei- 
cherbausteine, die dem Motorsteuergerat zugeordnet sind, ausgetauscht 
bzw. die auf diesen Speicherbausteinen gespeicherten Programme und Da- 
ten, wie Kenndaten, geandert werden. Dadurch kann beispielsweise eine 
Erhohung der Leistung oder des Drehmoments des Motors erzielt werden. 
Wird diese Manipulation durchgefuhrt ohne die weiteren Kfz-Komponenten, 
wie Olkuhler, Turbolader oder Bremsen anzupassen, so kann es zu Schaden 
an diesen Kfz-Komponenten und sicherheitskritischen Zustanden kommen. 
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Steuergerat zu schaffen, bei dem ein Austausch eines Speicherbausteins 
und die Anderung der Daten auf dem Speicherbaustein nicht moglich ist, oh- 
ne die Funktionsfahigkeit des Steuergerats zu beeinflussen oder zumindest 
die Veranderung zu diagnostizieren und diese ggf . zur Anzeige zu bringen. 

Der Erfindung liegt die Erkenntnis zugrunde, dass diese Aufgabe gelost wer- 
den kann, die fur den Betrieb des Steuergerats notwendigen Daten und Pro- 
gramme in unterschiedlichen Speichern abgelegt werden. 

Die der Erfindung zugrunde liegende Aufgabe wird daher gelost durch ein 
Verfahren zur Schutz gegen Manipulationen in einem Steuergerat fur min- 
destens eine Kfz-Komponente, wobei der fur den Betrieb des Steuergerats 
notwendige Code in mindestens einen Master-Code, der fur die Funktion des 
Steuergerats essentielle Informationen umfasst, und mindestens einen Sub- 
Code, der weitere Informationen fur den Betrieb des Steuergerats umfasst, 
unterteilt wird, wobei zumindest der Mastercode in dem Microrechner abge- 
legt wird und der Mastercode die Manipulation des Subcodes uberwacht . 

Durch die Aufteilung des Codes, der fur den Betrieb des Steuergerats not- 
wendig ist, kann zum einen ein Teil, der beispielsweise bei Reparaturen re- 
programmiert bzw. upgedatet werden muss, zuganglich gemacht werden, 
ohne, dass der Teil, der fur den Betrieb des Steuergerats essentielle Infor- 
mationen enthalt, zuganglich sein muss. Weiterhin ist durch die Unterteilung 
des Codes ein Ablegen des Codes in unterschiedlichen Speichern moglich, 
was eine Erhohung der Sicherheit gegen Manipulationen mit sich bringt. Der 
Master-Code kann beispielsweise das eigentliche Steuerprogramm, das die 
Berechnung von Motorlast und Drehzahl und der StellgroBen und Stellwerte 
unter Zugriff auf Kennfelder und die Steuersignalerzeugung fur angeschlos- 
sene Aktuatoren des Steuergerats umfasst, darstellen. In dem Sub-Code 
kann dann das Programm fur z.B. abgas- und komfortverbessernde Mass- 
nahmen enthalten sein. Beide Codes konnen zusatzlich oder alternativ Daten 
enthalten. 

Vorzugsweise wird der Mastercode in einem lesegeschutzten, nur einmalig 
beschreibbaren OTP (one-time-programmable)-Bereich des Microrechners 
abgelegt. Hiermit ist zum einen eine unberechtigte Anderung des Master- 
Codes unmoglich und zum anderen kann eine Vervielfaltigung der Software, 
die zum Betreiben des Steuergerats notwendig ist, vermieden werden. 
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Der Subcode kann in einem wiederbeschreibbaren Bereich des Microrech- 
ners Oder in einem wiederbeschreibbaren Bereich eines externen Speicher- 
bausteins abgelegt werden. Dadurch kann der Subcode upgedated Oder re- 
programmiert werden. Durch die in dem Mastercode beinhaltete Uberwa- 
chungsfunktion gegen Manipulation in dem Subcode kann aber ein uner- 
laubtes Andern des Subcodes vermieden werden. 

Weiterhin wird die Aufgabe, die der Erfindung zugrunde liegt, durch ein 
Steuergerat fur eine Kfz-Komponente, das zumindest einen Microrechner 
QjC) und zumindest einen Speicherbaustein umfasst gelost, wobei der fur 
den Betrieb des Steuergerats notwendige Code in zumindest einen Master- 
Code, der fur die Funktion des Steuergerats essentielle Informationen um- 
fasst, und zumindest einen Sub-Code, der weitere Informationen fur den Be- 
trieb des Steuergerats umfasst, unterteilt ist, und zumindest der Master-Code 
in dem Microrechner abgelegt ist und der Master-Code ein Softwarefunkti- 
onsmodul zur Manipulationsdetektion innerhalb des Sub-Codes enthalt. 

Das Softwarefunktionsmodul kann beispielsweise eine lineare oder CRC- 
Checksummenbildung, eine Hash-Wertbildung oder ein Verschlusselungs- 
verfahren umfassen. 

Vorzugsweise ist zumindest ein Teil des Subcodes verschlusselt auf einem 
wiederbeschreibbaren Bereich abgelegt und der Mastercode dient zum Er- 
zeugen eines Schliissels fur die Entschlusselung. Der Teil des Sub-Codes, 
der verschlusselt abgelegt ist, kann beispielsweise einen Fingerprint darstel- 
len. 

Merkmale und Details, die im Zusammenhang mit dem erfindungsgemaBen 
Verfahren beschrieben werden, gelten entsprechend fur das erfindungsge- 
maBe Steuergerat und umgekehrt. 

Die Erfindung wird im Folgenden anhand der beiliegenden Zeichnungen, die 
sich auf mogliche Ausfuhrungsbeispiele der Erfindung beziehen, beschrie- 
ben. Es zeigen: 



Figur 1 : eine schematische Blockdarstellung einer Ausfuhrungsform des er- 
findungsgemaBen Steuergerats; und 
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Figur 2: eine schematische Blockdarstellung einer weiteren Ausfuhrungsform 
des erfindungsgemaBen Steuergerats. 

In Figur 1 ist eine Ausfuhrungsform eines erfindungsgemaBen Steuergerats 
dargestellt. Der Aufbau von Steuergeraten, wie beispielsweise Motorsteuer- 
geraten, ist hinlanglich aus dem Stand der Technik bekannt, so dass hierauf 
nur insoweit eingegangen wird, wie dies fur das Verstandnis der Erfindung 
erforderlich ist. Das Steuergerat 1 umfasst in der dargestellten Ausfuh- 
rungsform einen Microcomputer jjC, einen Flash-Speicher 2 und einen 
EEPROM (E 2 PROM) 3. Der Flash-Speicher 2 und der E 2 PROM 3 weisen 
jeweils einen OTP-Bereich 21 , 31 auf. Diese sind vorzugsweise nicht lesege- 
schutzt ausgestaltet. Auch in dem//C ist ein OTP-Bereich 11 vorgesehen. 

Die Speicherbausteine Flash 2, E 2 PROM 3 sind in der dargestellten Ausfuh- 
rungsform mit bausteinindividuellen Identifikationsnummern ID versehen. 
Diese werden in der Regel beim Hersteller des Bausteins geschrieben und in 
den OTP-Bereich 21, 31 der einzelnen Bausteine abgelegt. 

Im Herstellungsprozess des Steuergerats werden bei der Erstinbetriebnahme 
des Steuergerats von dem Microrechner pC die ID'S der einzelnen Speicher- 
bausteine 2, 3 ausgelesen und in einen einmalig beschreibbaren OTP- 
Bereich 11 des/yC abgelegt. Ab diesem Zeitpunkt ist die Funktion des Steu- 
ergerats 1 nur in Verbindung mit den dem //C bekannten ID's der externen 
Speicherbausteine 2, 3 moglich. 

Bei jeder weiteren Inbetriebnahme des Steuergerats 1 wird von dem jjC die 
ID aller mit diesem verbundenen Speicherbausteine 2, 3 erneut ausgelesen. 
In einer Vergleichseinheit konnen dann diese aktuellen ID'S mit den ur- 
sprunglichen Kennungen, die in dem OTP-Bereich 1 1 des /jC abgelegt sind, 
verglichen werden. Wird bei diesem Vergleich festgestellt, dass eine der ID's 
nicht mit einer der ursprunglichen ID's ubereinstimmt, so wird das Steuerge- 
rat an seiner Funktion gehindert Oder zumindest die Veranderung diagnosti- 
ziert und diese ggf. zur Anzeige gebracht. 

Der Code zum Betreiben des Steuergerats ist in einen Master-Code (MC) 
und einen Sub-Code (SC) unterteilt. Der Mastercode MC enthalt elementare, 
essentielle Funktionalitaten zum Betrieb des Steuergerats, z.B. das Pro- 
gramm zur Signalerzeugung fur angeschlossene Aktuatoren (nicht darge- 
stellt) des Steuergerats oder das Programm fur die Berechnung der Stellgro- 



WO 2004/026641 



'CT/EP2003/008023 



5 



Ben und Stellwerte. Der Mastercode MC kann weiterhin Daten umfassen. In 
dem Sub-Code SC sind weitere Programme und Daten enthalten. Das Steu- 
ergerat ist nur funktionsfahig unter Verwendung beider Codes MC und SC. In 
der dargestellten Ausfuhrungsform ist der Sub-Code SC in einem wiederbe- 
schreibbaren Ber&ich des Rash-Speichers 2 enthalten. Der Master-Code MC 
ist in einem OTP-Bereich 1 1 des Microrechners //C enthalten. Der Master- 
Code ist vorzugsweise gegen Auslesen uber Kontaktierung geschutzt. Dies 
kann beispielsweise physikalisch durch Durchlegieren einer Transistorstre- 
cke oder schaltungstechnisch erzielt werden. Der Sub-Code SC kann im.Ge- 
gensatz zu dem Master-Code MC modifiziert beziehungsweise uber- 
schrieben werden. Dies erlaubt ein Updaten des Subcodes oder ein Re- 
programmieren. 

Der /vC weist weiterhin eine Identifikationsnummer //C-ID auf. Auch diese ist 
in einem lesegeschutzten OTP-Bereich des yC abgelegt. In dem E 2 PROM 
sind weitere Daten fur den Betrieb des Steuergerats in einem wiederbe- 
schreibbaren Bereich abgelegt. Diese Daten konnen beispielsweise Adapti- 
onswerte sowie Leerlaufdrehzahlen bei einem Motorsteuergerat sein. 

Beim Initialisieren des Steuergerats lernt der Microrechner fjC die in dem 
OTP-Bereich 21, 31 der Speicherbausteine 2, 3 abgelegten und dadurch 
nicht veranderbaren Identifikationsnummern an und legt diese in einem OTP- 
Bereich des Microrechners jjC, der optional auch lesegeschutzt ausgestaltet 
sein kann, ab. 

Von diesem Zeitpunkt an sind dem Microrechner //C die mit diesem verbun- 
denen Speicherbausteine 2, 3 uber ihre ID bekannt. 

Zusatzlich konnen die in dem Microrechner abgelegten ID's der Speicher- 
bausteine auch zur Verschlusselung von Daten oder Programmen dienen. 
So konnen die auf dem E 2 PROM abgelegten Daten beispielsweise durch ein 
symmetrisches Verschlusselungsverfahren codiert werden, in dem der 
Schlussel zumindest einen Teil der ID zumindest eines der Speicherbaustei- 
ne 2, 3 umfasst. Bei einem Motorsteuergerat konnen in dem E 2 PROM bei- 
spielsweise Lernwerte, Fertigungsdaten und Anpassungswerte, gespeichert 
sein. Zur Verschlusselung sind grundsatzlich alle symmetrischen Verschlus- 
selungsverfahren geeignet, die die Einbeziehung eines steuergerateindividu- 
eilen Kennzeichens erlauben. Vorzugsweise werden die Daten des E 2 PROM 
durch einen Schlussel verschlusselt, der zusatzlich oder alternativ zu der ID 
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der externen Speicherbausteine die ID des Microrechners /jC umfasst. Hier- 
durch wird eine steuergerateindividuelle Verschlusselung erzielt, die ein 
Austauschen des E 2 PROM oder ein Uberschreiben der darauf gespeicherten 
Daten unmdglich macht bzw. den Betrieb des Steuergerats nach einer sol- 
chen Manipulation verhindert. Der Schlussel wird vorzugsweise in dem RAM- 
Speicher des Microrechners jjC abgelegt. Dadurch wird der Schlussel bei 
jedem Hochlaufen des Steuergerats unter Einbeziehung eines steuergerate- 
individuellen Kennzeichens (z.B. der ID des//C und gegebenenfalls der IDs 
der Speicherbausteine) gebildet und ist somit steuergerateindividuell. 

Weiterhin kann der Subcode SC auf dem Flash-Speicher 2 ganz oder teil- 
weise verschlusselt abgelegt sein. Auch fur diese Verschlusselung kann die 
ID der einzelnen Speicherbausteine oder des Microrechners bzw. ein Teil 
dieser ID in den Schlussel integriert werden. Die Entschlusselung der Daten 
in dem Sub-Code wird durch den Master-Code durchgefuhrt. Da dieser in 
einem lesegeschutzten Bereich des Microrechners abgelegt ist, kann ein 
Auslesen des Programms und damit eine Vervielfaltigung der Software ver- 
hindert werden. 

Die Uberwachung des Sub-Codes gegeniiber Manipulation, die durch den 
/jC im Master-Code sichergestellt wird, kann auch uber andere Verfahren als 
die Verschlusselung erfolgen. So konnen zusatzlich oder alternativ linea- 
re/CRC-Checksummenbildung oder Hash-Wertbildung verwendet werden. 
Zur Erkennung einer vorgenommenen Manipulation der Daten und gegebe- 
nenfalls von Teilen des Subcodes werden z.B. uber ausgewahlte Bereiche 
lineare Checksummen gebildet und das Ergebnis verschlusselt als Fin- 
gerprint in den Sub-Code eingebracht. Der Mastercode berechnet im Steuer- 
geratebetrieb beispielsweise bei einem Signal an Klemme 15 uber den glei- 
chen vordefinierten Bereich den Vergleichswert (z.B. lineare Checksumme) 
und pruft diesen gegen den entschlusselten im Sub-Code verschlusselt ab- 
gelegten Referenzwert. Die Art der Manipulationserkennung kann beliebig 
gewahlt werden. 

Nach der Erkennung einer Manipulation werden vom Master-Code MaBnah- 
men eingeleitet, die gegebenenfalls zum Steuergerateausfall fuhren. 

In Figur 2 ist eine weitere Ausfiihrungsform des erfindungsgemaBen Steuer- 
gerats gezeigt. Bei die ser Ausfuhrungsform sind die Speicherbausteine 2 
und 3 in den Microrechner pC integriert. Der jjC weist hierbei einen embed- 
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ded Flash-Speicher auf, wobei der E 2 PROM emuliert wird. Diese Ausgestaf- 
tung des Steuergerats weist zwar den Vorteil auf, dass ein Austausch der 
Speicherbausteine zuverlassig verhindert werden kann, allerdings sind die 
Daten bei der Emulation des E 2 PROM nur blockweise uberschreibbar. 

Das Verfahren zum Schutz gegen Manipulation erfolgt bei diesem Steuerge- 
rat mit internem Speicher im wesentlichen wie das oben fur Steuergerate mit 
externen Speichern beschriebene. Auch hierbei konnen insbesondere die 
Daten des emulierten E 2 PROM verschlusselt abgelegt werden und durch 
einen Schlussel, der zumindest eine individuelle Kennung des Steuergerats, 
wie die //C-ID und/oder die Flash-ID umfasst, entschlusselt werden. Ebenso 
konnen die in dem Subcode, der in dem Flash-Speicher des jjC abgelegt ist, 
enthaltenen verschlusselten Daten oder Fingerprints durch den Mastercode 
entschlusselt werden. Auch hierbei wird vorzugsweise eine steuergerateindi- 
viduelle Kennung in dem Schlussel integriert. 

Die Erfindung ist nicht auf die dargestellten Ausfuhrungsformen beschrankt. 
So kann als Kennung der einzelnen Speicherbausteine beispielsweise das 
Herstellungsdatum des Steuergerats in Betracht kommen. Hierdurch kann 
eine Manipulation wahrend der Garantiezeit verhindert werden. 

Das Steuergerat kann im Sinne dieser Erfindung beispielsweise ein Mo- 
torsteuergerat, ein Getriebesteuergerat oder auch ein Kombiinstrument dar- 
stellen. 

Mit einem erfindungsgemaBen Verfahren und dem erfindungsgemaBen 
Steuergerat konnen gegeniiber herkommlichen Steuergeraten eine groBe 
Anzahl von Vorteilen erzielt werden. 

Mit dem erfindungsgemaBen Steuergerat kann auf zuverlassige Weise ein 
Austausch einzelner oder mehrerer Bausteine verhindert werden, da durch 
einen solchen Austausch die Funktion des Steuergerats verhindert werden 
kann. Das Auslesen eines fur die Funktion der Steuerung zwingend erforder- 
lichen Teils des Programms bzw. der Daten ist nicht mdglich, wenn dieser 
Teil in dem lesegeschutzten OTP-Bereich abgelegt ist. Damit kann eine Ver- 
vielfaltigung bzw. eine Modifikation der Software verhindert werden. Auch ist 
der Zugriff auf vertrauliche Daten tiber die Kontaktierung des Bausteins nicht 
moglich, wenn diese in dem lesegeschutzten OTP-Bereich des //C abgelegt 
sind. Besonders sicher kann das Steuergerat vor Manipulationen geschutzt 
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werden, indem es nur in der Kombination von Master- und Sub-Code lauffa- 
hig ist. Eine Veranderung des im reprogrammierbaren, gegebenenfalls ex- 
ternen Speicher, z.B. Flash, abgelegten Sub-Codes fuhrt ohne eine Anpas- 
sung des Mastercodes zu einem Steuergerateausfall. Weiterhin konnen Da- 
ten, die beispieisweise auf einem E 2 PROM abgelegt sind, steuergerateindivi- 
duell verschlusselt werden. Auch die Entschlusselung solcher Daten kann 
von einer Kennung des Steuergerats abhangig gemacht werden. Zusatzliche 
Sicherheit kann dadurch geschaffen werden, dass die Ver- und Entschlus- 
selung von dem Verbund der einzelnen Bausteine mit den dem fjC bekann- 
ten ID's abhangig gemacht wird. 

Zusammenfassend kann also festgestellt werden, dass durch das Aufteilen 
des Codes in einen Master- und einen Sub-Code die Manipulation von Steu- 
ergeraten, wie beispieisweise Chip-Tuning bei Motorsteuergeraten, zuverlas- 
sig vermieden werden kann. 
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Patentanspriiche 

1. Verfahren zur Schutz gegen Manipulationen in einem Steuergerat fur 
mindestens eine Kfz-Komponente, das zumindest einen Microrechner 
(jjC) und zumindest einen Speicherbaustein (2, 3) umfasst, dadurch 
gekennzeichnet, dass der fur den Betrieb des Steuergerats (1) not- 
wendige Code in mindestens einen Master-Code (MC), der fur die 
Funktion des Steuergerats (1) essentielle Informationen umfasst, und 
mindestens einen Sub-Code (SC), der weitere Informationen fur den 
Betrieb des Steuergerats (1) umfasst, unterteilt wird, wobei zumindest 
der Mastercode (1) in dem Microrechner (jjC) abgelegt wird und der 
Mastercode (MC) die Manipulation des Subcodes (SC) uberwacht . 

2. Verfahren nach Anspruch 1 dadurch gekennzeichnet, dass der Mas- 
tercode (MC) in einem lesegeschutzten, nur einmalig beschreibbaren 
Bereich (11) des Microrechners QjC) abgelegt wird. 

3. Verfahren nach einem der Anspriiche 1 oder 2, dadurch gekennzeich- 
net, dass der Subcode (SC) in einem wiederbeschreibbaren Bereich 
des Microrechners abgelegt wird. 

4. Verfahren nach einem der Anspruche 1 oder 2, dadurch gekennzeich- 
net, dass der Subcode (SC) in einem wiederbeschreibbaren Bereich 
mindestens eines externen Speicherbausteins (2) abgelegt wird. 

5. Steuergerat fur eine Kfz-Komponente das zumindest einen Micro- 
rechner {jjC) und zumindest einen Speicherbaustein (2, 3) umfasst, 
wobei der fur den Betrieb des Steuergerats (1) notwendige Code in 
zumindest einen Master-Code (MC), der fur die Funktion des Steuer- 
gerats (1) essentielle Informationen umfasst, und zumindest einen 
Sub-Code (SC), der weitere Informationen fur den Betrieb des Steu- 
ergerats (1) umfasst, unterteilt ist, und zumindest der Master-Code 
(MC) in dem Microrechner (jjC) abgelegt ist und der Master-Code 
(MC) ein Softwarefunktionsmodul zur Manipulationsdetektion inner- 
halb des Sub-Codes (SC) enthalt. 
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6. Steuergerat nach Anpruch 5 dadurch gekennzeichnet, dass der Mas- 
tercode (MC) in einem iesegeschutzten, nur einmalig beschreibbaren 
Bereich des Microrechners (jjC) abgelegt ist. 



7. Steuergerat nach Anspruch 5 Oder 6, dadurch gekennzeichnet, dass 
der Sub-Code (SC) in einem wiederbeschreibbaren Bereich des Mic- 
rorechners (jjG) abgelegt ist. 

8. Steuergerat nach Anspruch 5 Oder 6, dadurch gekennzeichnet, dass 
der Sub-Code (SC) in einem wiederbeschreibbaren Bereich mindes- 
tens eines externen Speicherbausteins (2, 3) abgelegt ist. 

9. Steuergerat nach einem der Anspruche 5 bis 8 dadurch gekennzeich- 
net, dass zumindest ein Teil des Subcodes (SC) verschliisselt in ei- 
nem wiederbeschreibbaren Bereich abgelegt ist und der Mastercode 
(MC) zum Erzeugen eines Schliissels fur die Entschlusselung dient. 




FIG. 1 
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